NAT网关 NAT-华为云

NAT网关 NAT-私网NAT网关简介:应用场景

应用场景重叠网段VPC间互通私网NAT网关提供私网地址转换服务，利用两个私网NAT网关，配置SNAT、DNAT规则，可同时将源、目的网段地址转换为中转IP，通过使用中转IP实现两VPC间互通。私网NAT网关解决了两个重叠网段虚拟私有云中的云主机互相访问的问题。如下图所示，创建一个中转VPC，然后使用两个私网NAT网关将VPC A中IP地址为192.168.0.1的弹性云服务器地址转化为10.0.0.11、将VPC B中IP地址为192.168.0.1的弹性云服务器地址转化为10.0.0.22，通过转化后的IP地址相互访问。图2 重叠网段VPC间互通企业网络上云及指定IP接入大企业等机构上云，希望迁移上云保持组网不变，使用私网NAT网关无需对网络做任何更改即可保持原有方式互通。同时，行业监管部门要求指定地址接入，使用私网NAT网关将各部门的IP地址映射为指定地址接入行业监管部门，满足企业安全规范。如下图所示，企业部门间存在网段重叠，使用私网NAT网关，实现企业各部门迁移上云后组网不变，部门间保持原有方式互通，简化了IDC上云的网络规划；使用私网NAT网关，配置SNAT规则，将各部门的IP地址映射为符合要求的10.0.0.33地址接入行业监管部门，提升企业的安全性。

NAT网关 NAT

NAT网关 NAT-私网NAT网关简介:公网NAT网关与私网NAT网关对比

公网NAT网关与私网NAT网关对比公网NAT网关通过配置SNAT规则将私有IP映射为弹性公网IP，实现VPC内的云主机通过共享弹性公网IP访问互联网；配置DNAT规则共享弹性公网IP为公网提供服务。私网NAT网关通过配置SNAT规则将私有IP映射为中转IP，实现VPC内的云主机访问私网中的用户数据中心或其他VPC；配置DNAT规则共享中转IP为私网提供服务。表1概括了公网NAT网关和私网NAT网关间的差异：表1 公网NAT网关与私网NAT网关对比功能项公网NAT网关私网NAT网关功能私网和公网间互通私网和私网间互通 SNAT功能访问公网访问私网中的IDC或其他VPC DNAT功能为公网提供服务为私网中的IDC或其他VPC提供服务互通媒介弹性公网IP 中转IP

NAT网关 NAT

NAT网关 NAT-私网NAT网关简介:什么是私网NAT网关？

什么是私网NAT网关？私网NAT网关（Private NAT Gateway），能够为虚拟私有云内的云主机（弹性云服务器、裸金属服务器）提供私网地址转换服务。您可以在私网NAT网关上配置SNAT、DNAT规则，可将源、目的网段地址转换为中转IP，通过使用中转IP实现VPC内的云主机与其他VPC、云下IDC互访。私网NAT网关分为SNAT和DNAT两个功能： SNAT功能通过绑定中转IP，可实现VPC内跨可用区的多个云主机共享中转IP，访问外部数据中心或其他VPC。 DNAT功能通过绑定中转IP，可实现IP映射或端口映射，使VPC内跨可用区的多个云主机共享中转IP，为外部私网提供服务。中转子网中转子网相当于一个中转网络，您可以在中转子网中创建私网IP，即中转IP，使本端VPC中的云主机可以共享该中转IP访问用户IDC或其他远端VPC。中转VPC 中转子网所在VPC。图1 私网NAT网关

NAT网关 NAT

NAT网关 NAT-支持的监控指标:监控指标

监控指标表1 公网NAT网关支持的监控指标指标ID 指标名称指标含义取值范围测量对象监控周期（原始指标） snat_connection SNAT连接数该指标用于统计测量对象的SNAT连接数。单位：个 ≥ 0 个公网NAT网关实例 1分钟 inbound_bandwidth 入方向带宽该指标用于统计入方向带宽。单位：比特/秒 ≥0 bit/s 公网NAT网关实例 1分钟 outbound_bandwidth 出方向带宽该指标用于统计SNAT出方向带宽。单位：比特/秒 ≥0 bit/s 公网NAT网关实例 1分钟 inbound_pps 入方向PPS 该指标用于统计SNAT入方向PPS。单位：个 ≥0个公网NAT网关实例 1分钟 outbound_pps 出方向PPS 该指标用于统计SNAT出方向PPS。单位：个 ≥0个公网NAT网关实例 1分钟 inbound_traffic 入方向流量该指标用于统计SNAT入方向流量。单位：字节 ≥0 bytes 公网NAT网关实例 1分钟 outbound_traffic 出方向流量该指标用于统计SNAT出方向流量。单位：字节 ≥0 bytes 公网NAT网关实例 1分钟 snat_connection_ratio SNAT连接数使用率该指标用于统计测量对象的SNAT连接数使用率。连接数最大为规格限制的连接数。详情可查看产品规格。单位：百分比 ≥0 公网NAT网关实例 1分钟 inbound_bandwidth_ratio 入方向带宽使用率该指标用于统计SNAT入方向带宽使用率。公网NAT实例最大带宽20Gbit/s，则入方向带宽使用率为：实际使用带宽/公网NAT实例最大带宽*100%。单位：百分比说明：该监控项为针对公网NAT实例性能的监控而不是针对EIP带宽的监控。 ≥0 公网NAT网关实例 1分钟 outbound_bandwidth_ratio 出方向带宽使用率该指标用于统计SNAT出方向带宽使用率。公网NAT实例最大带宽为20Gbit/s，则出方向带宽使用率为：实际使用带宽/公网NAT实例最大带宽*100%。单位：百分比说明：该监控项为针对公网NAT实例性能的监控而不是针对EIP带宽的监控。 ≥0 公网NAT网关实例 1分钟 total_inbound_udp_bandwidth 入方向UDP总带宽该指标用于统计从公网引到当前公网NAT网关实例的UDP总带宽。单位：比特/秒 ≥0 bit/s 公网NAT网关实例 1分钟 total_outbound_udp_bandwidth 出方向UDP总带宽该指标用于统计虚拟私有云(VPC)内引到当前公网NAT网关实例的UDP总带宽。单位：比特/秒 ≥0 bit/s 公网NAT网关实例 1分钟 total_inbound_tcp_bandwidth 入方向TCP总带宽该指标用于统计从公网引到当前公网NAT网关实例的TCP总带宽单位：比特/秒 ≥0 bit/s 公网NAT网关实例 1分钟 total_outbound_tcp_bandwidth 出方向TCP总带宽该指标用于统计虚拟私有云(VPC)内引到当前公网NAT网关实例的TCP总带宽。单位：比特/秒 ≥0 bit/s 公网NAT网关实例 1分钟 packets_drop_count_snat_connection_beyond 丢包数（SNAT连接数超限）该指标用于统计当前公网NAT网关实例由于SNAT连接数超限导致的丢包数。单位：个 ≥ 0 个公网NAT网关实例 1分钟 packets_drop_count_pps_beyond 丢包数（PPS超限）该指标用于统计当前公网NAT网关实例由于PPS超限导致的丢包数。单位：个 ≥ 0 个公网NAT网关实例 1分钟 packets_drop_count_eip_port_alloc_beyond 丢包数（EIP端口分配超限）该指标用于统计当前公网NAT网关实例由于EIP端口分配超限导致的丢包数。单位：个 ≥ 0 个公网NAT网关实例 1分钟

NAT网关 NAT 使用CES监控NAT网关

NAT网关 NAT-购买公网NAT网关:前提条件

前提条件购买公网NAT网关必须指定公网NAT网关所在VPC、子网。由于需要放通到公网NAT网关的流量，即在VPC中需要有指向公网NAT网关的路由，因此在购买公网NAT网关时，会自动在VPC的默认路由表中添加一条0.0.0.0/0的默认路由指向所购买的公网NAT网关。如果在购买公网NAT网关前，VPC默认路由表下已经存在0.0.0.0/0的默认路由，则会导致自动添加该默认路由指向公网NAT网关失败，此时需要在公网NAT网关购买成功后，手动为此网关添加一条不同的路由或在新路由表中创建0.0.0.0/0的默认路由指向该网关。

NAT网关 NAT 公网NAT网关

NAT网关 NAT-购买公网NAT网关:约束与限制

约束与限制同一个公网NAT网关下的多条规则可以复用同一个弹性公网IP，不同网关下的规则必须使用不同的弹性公网IP。一个VPC支持关联多个公网NAT网关。 SNAT、DNAT可以共用同一个弹性公网IP，节省弹性公网IP资源。但是在选用全端口模式下，DNAT优先占用全部端口，这些端口不能被 SNAT 使用。因此SNAT规则不能和全端口的DNAT规则共用EIP，以免出现业务相互抢占问题。公网NAT网关支持转换的资源类型不包括企业型VPN。当云主机同时配置弹性公网IP服务和公网NAT网关服务时，数据均通过弹性公网IP转发。出于安全因素考虑，部分运营商会对下列端口进行拦截，导致无法访问。建议避免使用下列端口：协议不支持端口 TCP 42 135 137 138 139 444 445 593 1025 1068 1434 3127 3128 3129 3130 4444 4789 4790 5554 5800 5900 9996 UDP 135~139 1026 1027 1028 1068 1433 1434 4789 4790 5554 9996

NAT网关 NAT 公网NAT网关

NAT网关 NAT-NAT网关自定义策略:策略样例

策略样例示例1：授权用户创建和删除NAT网关 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "nat:natGateways:create", "nat:natGateways:delete" ] } ] } 示例2：拒绝用户删除NAT网关拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。如果您给用户授予NAT FullAccess的系统策略，但不希望用户拥有NAT FullAccess中定义的删除NAT网关权限，您可以创建一条拒绝删除NAT网关的策略，然后同时将NAT FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对NAT网关执行除了删除NAT网关外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Action": [ "nat:natGateways:delete" ], "Effect": "Deny" } ] } 示例3：多个授权项策略一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下: { "Version": "1.1", "Statement": [ { "Action": [ "nat:natGateways:update", "nat:natGateways:create" ], "Effect": "Allow" }, { "Action": [ "vpc:vpcs:update" ], "Effect": "Allow" } ] }

NAT网关 NAT

NAT网关 NAT-支持审计的关键操作列表

支持审计的关键操作列表通过云审计服务，您可以记录与NAT网关相关的操作事件，便于日后的查询、审计和回溯。云审计支持的公网NAT网关操作事件列表如表1所示。云审计支持的私网NAT网关操作事件列表如表2所示。表1 云审计服务支持的公网NAT网关操作列表操作名称资源类型事件名称创建公网NAT网关 natgateway createNatGateway 修改公网NAT网关 natgateway updateNatGateway 删除公网NAT网关 natgateway deleteNatGateway 创建公网NAT网关DNAT规则 dnatrule createDnatRule 修改公网NAT网关DNAT规则 dnatrule updateDnatRule 删除公网NAT网关DNAT规则 dnatrule deleteDnatRule 创建公网NAT网关SNAT规则 snatrule createSnatRule 修改公网NAT网关SNAT规则 snatrule updateSnatRule 删除公网NAT网关SNAT规则 snatrule deleteSnatRule 表2 云审计服务支持的私网NAT网关操作列表操作名称资源类型事件名称创建私网NAT网关 privateNat createPrivateNat 修改私网NAT网关 privateNat updatePrivateNat 删除私网NAT网关 privateNat deletePrivateNat 创建私网NAT网关DNAT规则 privateDnatRule createPrivateDnatRule 修改私网NAT网关DNAT规则 privateDnatRule updatePrivateDnatRule 删除私网NAT网关DNAT规则 privateDnatRule deletePrivateDnatRule 创建私网NAT网关SNAT规则 privateSnatRule createPrivateSnatRule 修改私网NAT网关SNAT规则 privateSnatRule updatePrivateSnatRule 删除私网NAT网关SNAT规则 privateSnatRule deletePrivateSnatRule 创建中转子网 transitSubnet createTransitSubnet 修改中转子网 transitSubnet updateTransitSubnet 删除中转子网 transitSubnet deleteTransitSubnet 创建中转IP transitIp createTransitIp 删除中转IP transitip deleteTransitIp 父主题：使用 CTS 审计NAT网关

NAT网关 NAT 使用CTS审计NAT网关

NAT网关 NAT-修改公网NAT网关:操作场景

操作场景公网NAT网关创建后，如果您在使用过程中发现当前的公网NAT网关规格不能满足自己的需求，可以修改公网NAT网关规格、名称和描述。提升公网NAT网关规格不影响业务；降低公网NAT网关规格取决于当前的业务量是否超过降档后规格的上限。包年/包月的公网NAT网关不支持规格降级。包年/包月的公网NAT网关转按需，需包年/包月资费模式到期后，按需的资费模式才会生效；按需的公网NAT网关可以随时转包年/包月。

NAT网关 NAT 管理公网NAT网关

NAT网关 NAT-创建用户并授权使用NAT网关:示例流程

示例流程图1 给用户授权NAT网关权限流程创建用户组并授权在 IAM 控制台创建用户组，并授予NAT网关服务权限“NATReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1.创建用户组并授权中创建的用户组。用户登录并验证权限。新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择NAT网关，进入NAT网关主界面，单击右上角“购买NAT网关”，如果无法购买NAT网关（假设当前权限仅包含NATReadOnlyAccess），表示“NATReadOnlyAccess”已生效。在“服务列表”中选择除NAT网关外（假设当前策略仅包含NATReadOnlyAccess）的任一服务，若提示权限不足，表示“NATReadOnlyAccess”已生效。

NAT网关 NAT 权限管理

NAT网关 NAT-购买私网NAT网关:约束与限制

约束与限制用户需要在VPC下手动添加私网路由，即通过创建对等连接或开通云专线/VPN连接远端私网。 SNAT规则和DNAT规则不能共用同一个中转IP。私网NAT网关支持添加的DNAT规则和SNAT规则的数量如下：小型：DNAT规则和SNAT规则的总数不超过20个。中型：DNAT规则和SNAT规则的总数不超过50个。大型：DNAT规则和SNAT规则的总数不超过200个。超大型：DNAT规则和SNAT规则的总数不超过500个。

NAT网关 NAT

NAT网关 NAT-管理私网NAT网关:删除私网NAT网关

删除私网NAT网关私网NAT网关创建后，如果您不再需要使用私网NAT网关，可以通过删除私网NAT网关，释放资源，节省费用。必须保证私网NAT网关下的SNAT规则和DNAT规则已全部删除。如果私网NAT网关下的SNAT规则和DNAT规则未被全部删除，则无法执行删除，请先在私网NAT网关页面进行删除SNAT规则和删除DNAT规则操作。进入私网NAT网关列表页。在私网NAT网关页面，单击目标私网NAT网关操作列中的“删除”。在删除确认对话框，输入“DELETE”。单击“确定”。

NAT网关 NAT 私网NAT网关

NAT网关 NAT-管理私网NAT网关:修改私网NAT网关

修改私网NAT网关私网NAT网关创建后，如果您在使用过程中发现当前的NAT网关规格不能满足自己的需求，可以修改私网NAT网关规格、名称和描述。进入私网NAT网关列表页。在私网NAT网关页面，单击需要修改的私网NAT网关操作列中的“修改”。根据界面提示，修改私网NAT网关的名称、规格或者描述等信息。图1 修改私网NAT网关修改完成后，单击“下一步”。确认私网NAT网关信息的修改，单击“提交”。

NAT网关 NAT 私网NAT网关

NAT网关 NAT-产品规格:私网NAT网关

私网NAT网关 SNAT连接数：由源IP地址、源端口、目的IP地址、目的端口、传输层协议这五个元素组成的集合视为一条连接。其中源IP地址和源端口指SNAT转换之后的中转IP和它的端口。在购买私网NAT网关时，请根据您的网络规划，合理选择私网NAT网关的规格。私网NAT网关支持的规格如表2所示。表2 私网NAT网关规格规格 SNAT最大连接数带宽每秒报文数（PPS）每秒新建报文数（QPS） NAT规则数（SNAT+DNAT）小型 2000 200Mbps 20000 6000 20 中型 5000 500Mbps 50000 9000 50 大型 20000 2Gbps 200000 10000 200 超大型 50000 5Gbps 500000 10000 500 为避免因连接数超过私网NAT网关规格最大值，从而影响业务的情况，建议在云监控中设置私网NAT网关监控指标，并为SNAT连接数合理设置告警。

NAT网关 NAT

NAT网关 NAT-产品规格:公网NAT网关

公网NAT网关 SNAT连接数：由源IP地址、源端口、目的IP地址、目的端口、传输层协议这五个元素组成的集合视为一条连接。其中源IP地址和源端口指SNAT转换之后的弹性公网IP和它的端口。连接能够区分不同会话，并且对应的会话是唯一的。吞吐量：DNAT规则的弹性公网IP的带宽之和。例如，一个公网NAT网关有两条DNAT规则，其中绑定到第一条规则的EIP带宽为10Mbit/s，绑定到第二条规则的EIP带宽为5Mbit/s，则公网NAT网关的吞吐量为15Mbit/s。每个公网NAT网关支持的最大转发带宽为20Gbit/s。上海二、北京一区域每个公网NAT网关支持的最大转发带宽为5Gbit/s。公网NAT网关TCP SNAT的默认连接超时时间为900秒。公网NAT网关UDP SNAT的默认连接超时时间为300秒。在购买公网NAT网关时，请根据您的网络规划，合理选择公网NAT网关的规格。公网NAT网关支持的规格如表1所示。表1 公网NAT网关规格规格 SNAT最大连接数带宽每秒报文数（PPS）每秒新建报文数（QPS）小型 10000 20Gbit/s 2000000 10000 中型 50000 20Gbit/s 2000000 10000 大型 200000 20Gbit/s 2000000 10000 超大型 1000000 20Gbit/s 2000000 10000 表格中所列的“每秒报文数（PPS）”是指入方向和出方向的PPS总和。为避免因连接数超过公网NAT网关规格最大值，从而影响业务的情况，建议在云监控中设置公网NAT网关监控指标，并为SNAT连接数合理设置告警。公网NAT网关支持的DNAT规则数与规格无关，每种规格的公网NAT网关最多支持添加200条DNAT规则。如需提升DNAT规则数，请提交工单申请。

NAT网关 NAT

云服务器内容精选

NAT网关 NAT

7*24

备案

专业服务

退订

建议反馈

售前咨询热线